Pair-Aware优化：混合策略提升LLM智能体越狱攻击效果

LLM智能体正被部署到越来越复杂的任务场景中，但其安全性始终是一个悬而未决的问题。近期一项研究深入探讨了越狱攻击中不同优化策略的组合效应，提出了名为Pair-Aware Optimization的新框架，为理解智能体安全弱点提供了新视角。

越狱攻击的优化困境：一阶与零阶方法

现有基于优化的越狱攻击主要分为两类：一阶（FO）方法利用梯度信息进行攻击，零阶（ZO）方法则依赖函数值反馈。两者各有优劣——FO方法通常更精确，但需要白盒访问权限；ZO方法更通用，但搜索效率较低。然而，这两种方法的互补性以及优化顺序对攻击效果的影响，此前并未得到系统研究。

研究团队系统性地考察了四种策略：纯ZO、纯FO、先ZO后FO、先FO后ZO。他们构建了一个ZO-FO框架，通过ZO优化探索对抗性前缀，再通过FO优化精炼对应的后缀。实验表明，混合优化相比单一优化器方法能显著提升攻击效果，而优化顺序对性能有实质性影响。

对抗性前缀与后缀：在基于优化的越狱攻击中，攻击者通常将输入构造为“对抗性前缀”与“后缀”的组合。前缀是插入在用户指令之前的一段可优化文本，其作用是引导模型进入一种易于接受后续恶意指令的状态；后缀则附加在指令之后，用于进一步强化攻击效果。两者共同构成完整的对抗性提示。前缀通常承担探索性角色——需要找到能够激活模型脆弱性的初始方向；后缀则承担精炼性角色——需要在已确定的前缀条件下，精确调整以最大化攻击成功率。这种分工使得前缀与后缀的优化可以解耦，但也意味着二者之间存在强耦合效应，单独优化任一部分都可能无法达到联合最优。

Pair-Aware优化：协调探索与精炼

如何协调前缀探索与后缀精炼两个过程，是混合框架的核心挑战。研究提出的Pair-Aware优化策略保留多个前缀候选，条件性地精炼它们的后缀，并在生成的“前缀-后缀”对中进行选择。这种成对感知的机制避免了过早收敛到次优解，让探索与精炼形成良性互动。

这一设计的洞见在于：越狱攻击的成功往往依赖于前缀和后缀的联合效应，单独优化任一部分都可能陷入局部最优。通过维护候选对并延迟选择，Pair-Aware优化在搜索空间上实现了更全面的覆盖。

条件性精炼与延迟选择：Pair-Aware优化的核心机制在于“条件性精炼”——即对于每一个保留的前缀候选，不是立即决定其优劣，而是在该前缀条件下独立地优化其后缀，从而生成完整的“前缀-后缀”对。随后，在所有生成的对中进行选择，而非在优化过程中过早淘汰候选。这种延迟选择策略类似于集束搜索（beam search）中的多候选维护思想：通过保持搜索的多样性，避免因早期评估噪声而丢弃潜在更优的解。在越狱攻击场景下，早期前缀的单独评分可能无法准确预测其与后缀组合后的攻击效果，因此成对评估比单独评估前缀更可靠。

从随机生成视角重新审视智能体越狱

研究进一步从随机生成的视角审视智能体越狱问题。同一个对抗性输入可能引发多样的推理轨迹和动作，而单次贪婪输出无法捕捉这种多样性。为此，团队在优化和评估阶段均采用一致的随机解码策略。

这一视角的转变很关键：传统越狱评估往往基于单次确定性输出，可能低估或高估攻击的真实成功率。随机解码下的评估更贴近实际部署场景，也更能反映攻击的鲁棒性。

随机解码与温度采样：大语言模型在生成文本时通常采用随机解码策略（如温度采样、top-p采样），即从概率分布中随机抽取下一个token，而非总是选择概率最高的token。这意味着即使输入完全相同，模型也可能产生不同的输出轨迹。在智能体场景中，这种随机性会进一步放大：模型不仅生成文本，还可能触发工具调用、环境交互等动作，形成多样的推理-行动序列。传统越狱评估若仅使用贪婪解码（即每次选择最高概率token），会得到确定性的单一输出，无法反映模型在随机采样下的真实行为分布。采用一致的随机解码策略进行评估，意味着对同一对抗输入多次采样并统计攻击成功率，从而更准确地估计攻击的期望效果和鲁棒性。

实验验证与关键发现

在恶意指令和恶意环境两类基准测试上，混合优化均优于单一优化器方法。优化顺序的影响同样显著——先ZO后FO的策略在多数场景下表现更佳，这暗示着“先广泛探索、再精确精炼”的搜索逻辑与攻击成功之间存在内在关联。

研究还发现，Pair-Aware优化在保持攻击成功率的同时，减少了优化所需的查询次数，这对实际攻击场景具有现实意义。

对智能体安全的启示

这项工作的价值不仅在于提出了一种更强的攻击方法，更在于揭示了LLM智能体安全评估中的方法论问题。混合优化策略的有效性表明，单一优化范式可能系统性地低估智能体的脆弱性。对于防御方而言，这意味着需要针对组合式攻击设计更鲁棒的防护机制。

同时，随机解码评估的引入提醒安全研究者：越狱评估协议本身需要标准化和多样化，才能真实反映攻击面。智能体安全是一个动态博弈的过程，攻击与防御的优化策略都在不断演进。